智譜 AI、GLM-5.3 を発表しコーディングとセキュリティ能力を強化

智譜 2026年8月14日 13:31（北京）

一本の弦だけでは音楽にならず、一本の木だけでは林にならない。

本日、私たちは GLM-5.3 を発表します。GLM-5.2 と比較すると基盤モデルは変更されていませんが、極限まで高めた後学習のスケール効果によって、モデルの知能の上限を大幅に引き上げました。数十倍に増えた長期的なタスク環境、より多様で豊富な環境タイプ、そして超長時間の後学習です。これらの十分な後学習を通じて、予期せぬレベルの新しいモデル能力が創発しました。

前世代と比較して、GLM-5.3 の新機能には以下が含まれます：

より強力なプログラミング能力

GLM-5.3 は、現在最も優れたプログラミング能力を備えたオープンソースモデルです。内部で実施した体感評価では GLM-5.2 より 50% の向上を達成し、Terminal Bench 3.0 や Agents' Last Exam (CLI) を含む主要な公開ベンチマークでも、オープンソース界でトップの成績を収めました。

サイバーセキュリティ能力

白箱コードレビューや脆弱性発見といった安全タスクにおいて、GLM-5.3 は Mythos 5 と同等の性能を発揮し、サイバーセキュリティ防御シナリオにおける大きな可能性を示しています。

ポストトレーニングのスケーリング

上記すべての向上は、ポストトレーニングによるものです。IndexShare や SAO、そして継続的に進化を続ける次世代の Slime フレームワークを活用し、GLM-5.2 と同じ基盤モデル上で効率的に強化学習を進めました。この基盤モデルが持つ知能の上限には、まだ遠く及んでいない可能性があります。

オープンソース化について

モデルの重みは、安全評価とモデルの強化を完了した 2 週間後に公開します。

本日より、智譜公式のプログラミングツール「ZCode」と効率化ツール「AutoClaw」、そして GLM Coding Plan の全ユーザー向けに開放されたサブスクリプションが利用可能になりました。また、TraeWork/TraeCode/扣子、WorkBuddy/CodeBuddy、Qoder/QwenWork、CatPaw、JoyCode、OpenCode などのコーディングプラットフォームでも先行体験が可能となっています。API は近日公開予定で、完全なモデル重みは 2 週間以内にオープンソース化されますが、その前に必要な安全強化を完了させる必要があります。これにより、潜在的な攻撃能力を可能な限り制限し、防御価値を維持します。

本日午後 13:00 に GLM Coding Plan の全ユーザーの枠リセットが行われ、すべてのユーザーが管理画面の「使用量統計」で利用可能額が満タンになったことを確認できます。技術ブログはこちら：https://z.ai/blog/glm-5.3。

強力なプログラミング能力

主要なベンチマークの多くにおいて、GLM-5.3 は現在最も高い評価を得ているオープンソースモデルです。そのプログラミングとエージェント能力は Claude Fable 5 に迫るものであり、国内他社製モデルを凌駕する体感性能を誇ります。

GLM-5.3 の真価は、実際の端末環境で複雑なタスクを完遂する能力に現れています。Terminal-Bench 3.0 ではスコアが 4.6 から 28.3 に大幅に向上し、長期的なソフトウェア開発と継続的なコード修正能力に焦点を当てた DeepSWE v1.1 では 46.2 から 66.9 へ。さらに、多様な専門シナリオやツール間連携、長期タスクを重視する Agents' Last Exam でも 23.8 から 28.5 に引き上げました。

また、44 の職業分野にわたる高価値な知識労働を検証する GDPval-AA v2 では 1769 点を獲得。これはプログラミング能力が向上することで生じた、専門タスクの実行力への「エマージェンス（創発）」を示す結果です。

総合的に見れば、GLM-5.3 は複雑なソフトウェアエンジニアリング、端末操作、そしてより広範なリアルワールドの Agent タスクにおいて、非常に目覚ましい進化を遂げました。

独自開発の「Z.ai Code Bench」は、実際のプログラミング現場における総合的な体感を評価するものです。モデルを複雑なローカル開発環境に配置し、異なる思考レベル（思考档位）でエンドツーエンドのタスクを実行させます。これは、開発者がコーディングエージェントを利用する際の実際の体験に極めて近いテストです。

テスト結果では、GLM-5.3 は性能とトークン利用効率の間でより良いバランスを実現しました。High レベルでの正答率は 31.4% に達し、Claude Opus の最高レベルである 29.5% を上回っています。さらに、各タスクあたりの平均出力トークンは約 5 万個に抑えられ、Opus が約 12 万個を必要としたのと比較すると、GLM-5.3 はより短い実行パスでタスクを完了できることがわかります。

GLM-5.3 の訓練では、単にプログラミング問題を解かせるだけでなく、実際の専門家が行う一連の業務フローに近い環境を構築しました。一部のタスクは、エンジニアが数日連続で取り組むような規模です。例えば機械学習の最適化タスクでは、モデルはアルゴリズムエンジニアと同じ計算クラスターやストレージシステム、社内ドキュメント、コードベース、実験結果を利用し、定量的な速度向上を実現するエンドツーエンドのプロセスを完遂します。

このような環境で訓練することで、モデルは単に指示に従って実行するだけでなく、「問題の発見」から「分析の推進」、「検証の実施」、そして最終的な「独立した業務完了」までを一貫して学びます。

創発したセキュリティ能力

タスク環境が拡大する過程で、私たちはモデルがサイバーセキュリティ分野において予想を上回る成果を収めていることを観察しました。セキュリティ能力の出現は偶然ではなく、本質的に厳格な制約下でのプログラミング能力だからです。

2025 年 9 月よりこの方向への研究に注力し、GLM-5.2 と GLM-5.3 の開発期間中、国内の主要なセキュリティ研究所と連携して、より長期かつ複雑なタスク環境を構築。専門性の高い評価・実行フレームワーク（harness）を整備しました。

タスクチェーンの観点から、セキュリティ能力はコードレビュー、脆弱性検証、脆弱性の悪用、そして実環境における攻防の完結という一連のプロセスに大別されます。GLM-5.3 のセキュリティ能力を包括的に評価するため、脆弱性分析・検証・利用の各段階を網羅する 3 つのベンチマークを採用しました。その結果、現在の GLM-5.3 の強みは主に前半部分に集中していることが明らかになりました。

CyberGym テストでは、モデルが白盒（ホワイトボックス）のソースコードから出発し、プログラムの故障を誘発させることで脆弱性を特定・検証します。GLM-5.3 は 84.5% のスコアを獲得し、GLM-5.2 の 77.2% を上回りました。また、Mythos 5 の 83.8% や GPT-5.6 Sol の 83.6% と比較してもわずかに高い結果となりました。

より高度な推論能力が求められる ExploitBench では、モデルは実際の脆弱性がなぜ発生するのかを深く理解し、それに基づいた悪用を実行する必要があります。GLM-5.3 は 54.4% のスコアを獲得し、これは GLM-5.2 の 24.4% と比較すると倍以上の伸びを示しました。ただし、Mythos 5 の 78.0% や GPT-5.6 Sol の 76.5% に比べるとまだ及ばない状況です。

ExploitGym は、制限時間内にモデルがどの程度の脆弱性悪用タスクを完了できるかを測定するものです。スループットに基づいて予算を正規化すると、GLM-5.3 は 2 時間で 105 件、6 時間で 130 件のタスクを完了しました。これは GLM-5.2 と比較してそれぞれ 29 件、39 件の大幅な向上です。ただし、Mythos 5 が依然として先行しており、同様の時間枠でそれぞれ 181 件、247 件のタスクを完了しています。

この 3 つのベンチマークは共通した傾向を示しています。脆弱性悪用チェーンの前半に近づくほど、GLM-5.3 の GLM-5.2 に対する改善幅が顕著になる一方で、完全な悪用プロセスへと深入りするにつれ、Mythos 5 などのクローズドソースで最先端のモデルとの差は広がります。言い換えれば、GLM-5.3 が最も劇的に進化した領域こそが、現在も重点的に追うべき課題となっているのです。

1. セキュリティ評価の結果

GLM-5.2 のリリース以降、私たちは国内の清華大学や南开大学をはじめ、云起无垠、緑盟科技、赛博昆仑、DARKNAVY、华顺信安、奇安信、安恒信息、元序星核、腾讯玄武、云鼎实验室など、多くのセキュリティチームと連携し、集中的なレッドチームテストとセキュリティ評価を実施してきました。その結果、初篩や重複排除を経て 2,436 個の脆弱性が発見されました。このうち 1,097 件が中・高危度であり、多くは過去数十年にわたり発見されていなかったものです。最古のものに至っては約 45 年前に遡ります。

代表的な脆弱性は、システムカーネル、オペレーティングシステム、ブラウザエンジン、オープンソースの基盤コンポーネント、インターネットアプリケーション、そしてインターネットプロトコルなど、269 のプロジェクトにまたがっています。一部の脆弱性の脅威は、Android、Windows、macOS、あるいは特定の国民的コミュニケーションアプリにおいて大規模なクラッシュを引き起こす可能性すらあります。

これらの発見は、継続的な脆弱性発見と開示活動へと発展しました。関連する脆弱性は順次、CNNVD や CNVD などの国家脆弱性情報データベースに提出されています。開示プロセスの透明性を高めるため、Z.ai セキュリティ開示台帳（https://cvd.z.ai/）を構築し、脆弱性の発見から確認、修復までの進捗を記録しています。この台帳は継続的に更新されますが、責任あるセキュリティ開示を確保するため、すでに開示されかつベンダーによって修正された脆弱性のみを公開します。調整中の開示段階にある脆弱性については、後日の検証に供するようハッシュ値を表示します。

Zerodium、Crowdfense、Apple Security Bounty、Pwn2Own といった世界の脆弱性取引市場や賞金プログラムにおける公開価格を参考にすると、これらの脆弱性が生み出した経済的価値は約 3000 万元に達します。

2.「抱抱脸」の教訓——セキュリティ能力はもっとオープンであるべき

Hugging Face が公式に発表した事案が示す教訓はこうです。強力な攻撃能力が拡散する中で、防御能力を少数のクローズドモデル企業に独占させてはいけません。クローズドなアプローチは、最先端のセキュリティ能力を一部の機関の特権へと歪めてしまいます。Anthropic は約 150 の大規模機関に対して Mythos モデルやセキュリティサービスを提供していますが、より広範な企業やオープンソースプロジェクトでは、同等レベルのセキュリティ支援を得ることが難しく、攻撃に遭い最も助けが必要な瞬間にさえ、クローズドモデルによって門前払いされる事態が起きかねません。

実は、この時代においてオープンソース化しないことこそが、最も危険な状態なのです。GLM-5.3 の公開とオープンソース化に合わせて、「オープンソースの盾」計画を同時に開始します。

1. 重点的なオープンソースプロジェクトに対して継続的なセキュリティ監査を実施し、維持者に対しリスクの発見と修正を無償で支援します（https://huggingface.co/spaces/zai-org/OpenVuln）
2. オープンソースコミュニティに対し、モデル利用枠や防御へのアクセス経路を無料で提供します。プロジェクトの維持者は、セキュリティ監査や防御タスクのために申請可能です
3. ZCode 内にコード監査機能を導入し、セキュリティチェックを日常の開発プロセスに組み込みます

最強の矛が少数の手に握られている限り、最良の盾はすべての人の手にあるべきです。私たちは GLM のセキュリティ能力を継続的に最適化し、オープンソースへの取り組みを堅持します。世界中の開発者やセキュリティ研究者と共に、絶えず成長する防御体系を構築し、最先端モデルを「一部の機関の特権」から「オープンソースコミュニティに奉仕する安全な公共財」へと変えていきます。

1. 小さなエピソード：ネオを追え

2026 年 7 月、ブラジルに設置された一時的なファイルサーバーが Ferret の監視範囲に入りました。Ferret は GLM-5.3 の初期パートナーである FOFA が運用する追跡分析エンジンです。GLM-5.3 は即座に、このサーバーが通常の機器ではないことを察知しました。ディレクトリ内には攻撃インフラに関する大量の情報が散在していたのです。

さらに調査を進める中で、「Neo」と名乗る AI Agent の存在が浮かび上がりました。その目的は A 国の会計事務所や税務サービス会社、記帳機関への攻撃です。

Neo は高いシステム権限を掌握していました。2 か月足らずで、4 台のサーバー、7 つのドメイン、6 万個のメールアドレス、そして 100 以上のスクリプトを管理し、18,567 通のフィッシングメールを送信しました。数千もの公開ディレクトリ、数万件のログ、そして極めて断片的な攻撃痕跡が錯綜する中、人手だけでこれらの関連性を特定するのはほぼ不可能です。

GLM-5.3 は瞬く間に重要な手がかりを抽出し、攻撃経路を紐付けました。これによりセキュリティ研究者は、攻撃者が A 国の会計業界のターゲットをどのように特定し、メールシステムを構築し、企業顧客や業界団体になりすまして悪意のあるファイル配布の準備を整えたのかという一連の攻撃チェーンを復元することができました。その結果、Ferret はこの攻撃を効果的に検知・捕捉することに成功しました。

これは以前発生した Hugging Face のセキュリティ事案と重なる部分があります。あの事件では、モデルが脱走して攻撃を開始しましたが、GLM-5.2 がローカル環境に展開され、証拠保全の支援を行いました。今回のケースでは、Agent が攻撃側に利用されましたが、GLM-5.3 は防御側として証拠から攻撃チェーンを復元する役割を果たしました。

同じモデルでも、どちら側に立つかはそれを掌握し、運用する人間とその目的次第です。

1. 最善のセキュリティとは、事故が最終的に発生しないことである

「潜在リスクは決して遠くにあるわけではありません。」

メッセージの送信、メールの受信から、インターネットの基盤プロトコル、ロボットに至るまで、デジタル世界の安全境界線はすでに個人端末、企業ネットワーク、インフラストラクチャ、そして実世界と深く結びついています。それは私たちの生活に直接影響を及ぼすものです。GLM-5.3 が「オープンソースの盾」として果たすべき役割は、セキュリティチームが攻撃者よりも先にリスクを発見し、ユーザーに影響が及ぶ前にそのリスクを解消・修復することにあります。

Cursor の保護と開発者のワークスペース防衛

Cursor は世界中で数百万人の開発者が日常的に利用している AI コードエディターです。あるモデル能力評価において、清華大学の NASP ラボは GLM-5.3 を活用し、Cursor のバイナリコード、クロス言語アーキテクチャ、そして権限境界の分析を行いました。その結果、Rust と Electron が混在するアーキテクチャや権限検証ロジックに潜在的な陥没リスクが存在することが判明しました。

攻撃者はこれを利用して任意ファイルへの書き込みを可能にし、さらに機密情報を窃取したり、開発環境を乗っ取ったりできる可能性があります。このリスクは複雑なプログラム論理の中に潜んでおり、個々のコード欠陥を孤立して検査するだけでは発見できません。調査過程において GLM-5.3 は逆解析の全工程に深く関与し、セキュリティ研究者がプログラムのロジックを復元し、異常なパスを特定するのを支援しました。また、膨大な候補パスの中からノイズを排除し、最終的に承認されたテスト環境でリスクの実証を行いました。

現在、セキュリティ研究チームは Cursor 側に連絡して修復を進めており、この脆弱性は CNVD および CNNVD へ報告済みです。

国民的コミュニケーションアプリの保護と数億人の端末安全

セキュリティ研究者が、日活ユーザー数が数億人に達する国民的な即時通信ソフトウェアにおいて異常を検知しました。攻撃者はユーザーにリンクをクリックさせたりファイルを開かせたりする必要はありません。一見すると正常なメッセージを送るだけで、ユーザーがほとんど気づかないうちに脆弱性をトリガーし、端末の制御権を奪取できるのです。

このプロセスはすべて遠隔で完結し、高い安定性と隠蔽性を備えています。この脆弱性は独自開発のプライベートプロトコル、コンテンツ処理ロジック、そしてメモリ管理メカニズムの中に深く埋め込まれており、トリガー条件には複雑な状態機械や再現が極めて困難なタイミングの問題が含まれています。

公開資料が不足している中、セキュリティ研究者は GLM-5.3 を活用して膨大なバイナリコードから異常を特定し、ロジックを復元、段階的にパス検証を行いました。その結果、数億人のユーザーに影響を及ぼしかねなかった安全事象は未然に防がれ、リスクはユーザーに到達する前に発見され、阻止されました。

DNS インフラの保護とインターネットの「ナビゲーションシステム」

DNS はデジタル世界における「北斗衛星导航系統（北斗ナビゲーション）」のようなものです。もし大規模な障害が発生すれば、世界中のウェブサイト、メール、クラウドサービスが正しいアドレスに到達できず、運用不能に陥る可能性があります。

清華大学 NISL ラボと「雲起無垠」セキュリティ研究チームは GLM モデルを活用し、1983 年に誕生した DNS プロトコルの中で、40 年以上も潜伏していた重要なプロトコルレベルの脆弱性を発見しました。一般的なソフトウェアの欠陥とは異なり、今回はインターネットの基盤となるプロトコルのルール自体に問題があることが明らかになったのです。

攻撃者はわずかな特殊なリクエストを送るだけで、サーバーへの計算負荷を最大約 8 万倍まで増幅させることができます。その結果、ウェブサイトのアクセス不能化、メールの中断、クラウドサービスの停止を引き起こす可能性があります。

ネットワーク測量による推計では、この脆弱性は世界の主流 DNS システムの 9 割以上に影響を与える可能性があり、1,000 万箇所以上のパブリック DNS サービスが関与しています。GLM はセキュリティ研究者がこの基盤リスクを事前に発見するのを支援し、DNS システムの修復と強化のための根拠を提供しました。

これはつまり、GLM のセキュリティ能力がソフトウェアコードの監査からさらに進み、インターネットの基礎プロトコルへと拡張され、デジタル世界を支えるインフラストラクチャ全体の保護に参画し始めたことを意味します。

メール・オフィスシステムの保護とマイクロソフトのグローバル安全事象への対応

メールのプレビューが、企業ネットワーク侵入の入口となる寸前でした。サイバーコロン（Cyber Kunlun）は GLM モデルを活用し、3 つの重大なマイクロソフト製脆弱性を発見しました。これらは世界中のユーザーが毎日利用するメールおよびオフィスシステムに関わるもので、クライアント側のメールプレビュー、ドキュメント処理、サーバーサイドの遠隔アクセスなど複数の工程にまたがっています。

これらの脆弱性は「クライアントでのプレビュー即座に感染」「サーバー側は遠隔から攻撃可能」という攻撃経路を形成しています。つまり、攻撃者は1通のメールを通じてユーザー端末に侵入し、その端末を跳躍台として企業ネットワークへ浸透させることが可能です。これにより、関連製品の多数のユーザーと展開環境がリスクにさらされることになります。

過去、同種の脆弱性は世界的に甚大な被害をもたらしました。例えば 2021 年の ProxyLogon 事件では多数の Exchange サーバーが乗っ取られました。現在、セキュリティ研究チームはこれら 3 つの重大な脆弱性をマイクロソフトへ報告し、修正済みです。マイクロソフト公式より「Kunlun Lab&GLM」への謝辞が発表されたことで、世界中のユーザーや企業に影響を及ぼす可能性があった安全事象は未然に防がれました。

実世界を守る：人形ロボットの暴走リスクを事前に遮断

DARKNAVY（深藍）が開発したセキュリティ AI システム「deepsec」は GLM モデルを活用し、世界のトップクラスな具身知能ロボットメーカーのシステム内で致命的な脆弱性を発見しました。この脆弱性が悪意ある攻撃者に利用されれば、同時に数千台のロボットを遠隔操作し、悪意のある動作を実行させることが可能になります。

複数の独立したセキュリティシステムが組み合わさった複雑なアーキテクチャに対し、deepsec はトップクラスのセキュリティ研究者の実践的なワークフローと、GLM モデルが持つ長期的なネットワークセキュリティタスク実行能力を融合させました。ロボットの公開ドキュメントを出発点とし、情報収集、静的解析、脆弱性発見、リスク検証を順次行います。これによりシステムロジックを復元し、セキュリティの境界を整理した結果、この重要なリスクを特定・確認することができました。

脆弱性の修正が完了したことで、実世界に影響を与える可能性があった「ロボット集団の暴走」事故は未然に阻止されました。GLM が守るのはもはやコードや端末、ネットワークだけではありません。実世界と直接対話するスマートデバイスにもその保護範囲が広がっています。

上記の脆弱性についてはすでに各事業者に報告され、国家 CNNVD/CNVD 国家脆弱性情報データベースにおける責任ある開示および共同修復プロセスへ移行しています。

責任あるオープンソース化

モデル性能の向上に伴い、安全体制も同時に強化し、高度な知能が引き続き広く活用されるよう努めるとともに、最もリスクの高い用途についてはより厳格な審査を適用します。GLM-5.3 に対しては、これまでで最も堅牢なリスク審査システムを構築しました。

GLM-5.3 のリスク審査システムは階層型設計を採用し、外部 API からモデル内部まで横断して構成されています。これにより精度と冗長性を高め、セキュリティ防護体系における「多段防御」の原則に則っています。すなわち、どの単一の防護層も完璧であると仮定せず、複数の独立した防衛ラインを相互に重複させることで、強靭な防護システムを構築するものです。

・外層分類器（classifier flag）：軽量モデルを用いて大規模な悪用リクエストを識別し、ブロックします。

・推論モニター（reasoning monitor）：モデルの推論プロセス中にリアルタイムでタスク意図を検査し、潜在的な危害の有無を判断します。

・深層セキュリティアライメント：モデル自体が根本的に攻撃的なリクエストを認識し拒絶できるようにします。これはオープンソース重み値の環境において、現在も唯一有効な最後の防衛ラインです。

この階層型審査システムを設計する際、もう一つのセキュリティ防護体系の基本原則である「リスク分级（リスク分類）」にも従いました。審査システムの目的は、高セキュリティリスクを持つ攻撃的な悪用を抑制することですが、実験的・防御的・教育的な用途まで犠牲にしてはいけません。そのためにまず、分類器、モニター、そしてモデル自体が、キーワード中心ではなく「意図」中心の審査方法を習得させる必要があります。なぜなら、ネットワークセキュリティの文脈では攻撃と防御のタスクは文字面上で非常に似通っているため、真に両者を区別するのは意図と文脈だからです。

私たちはこれに対応するため、差分データ合成を専門的に行いました。また、多数の越獄バリエーションや偽装手法に対して敵対的データを構築し、審査システムが高度に知的に機能することを確保しました。

さらに、ネットワークセキュリティ分野における一般的なタスクを分類しました。具体的には、セキュリティ知識の Q&A、ブルーチーム（防御側）対策、CTF 問題、脆弱性発見と修復、脆弱性悪用と攻撃、ペネトレーションテスト、実際の侵入などです。それぞれのタスクカテゴリに対して、段階的にリスクが高まる事例データを大量に作成し、審査システムが高リスクなタスクリクエストを正確にブロックしつつ、合法かつコンプライアンスを満たす低リスクの通常タスクを誤って排除しないようにしました。

モデルにおいて最も敏感な能力は、「ネットワークセキュリティ信頼アクセス」プログラムを通じて、検証済みのユーザーのみが利用できるように制限されています。特筆すべきは、セキュリティアライメント（安全調整）は継続的な対抗プロセスであるという点です。敵対的データやリスク分類事例の合成は一度きりではありません。私たちは常に自動化されたレッドチーム攻撃による越獄テストを実施し、新たに生成される越獄サンプルを用いて審査システムを不断に強化しています。

本モデルを全面公開する前に、私たちは極めて集中的な安全性評価と広範なレッドチームテストを実施しました。その結果、システムは高い水準のセキュリティラインを構築しており、明確な悪意ある攻撃や危険な脆弱性悪用の試みを効果的にブロックできることが確認されました。また、安全対策が過度に厳格化されることで機能が損なわれることもなく、脆弱性の検出や修正、CTF（Capture The Flag）教育といったポジティブなセキュリティタスクも適切に実行可能です。

正式なオープンソース化に先立ち、私たちは国内のトップレベルなセキュリティチームを招き、モデルがリスク関連タスクに対して持つ能力について専門的な評価を行いました。DARKNAVYチームの評価では、本モデルは「リスク防護」と「機能解放」の間で良好なバランスを実現しており、前世代モデルと比較して、権限のない悪意ある濫用のハードルを大幅に引き上げた点が高く評価されました。

人工知能の発展は、特定の一国による独奏であってはなりません。それは世界全体が協力する交響曲であるべきです。GLM-5.3 の発表とオープンソース化により、セキュリティ防御能力は一部の機関だけの独占物ではなく、世界中の開発者が平等にアクセスし、共に高めていける公共的なリソースへと変わります。

GLM-5.3 とともに戦っていただいた国内のセキュリティチームの皆様に感謝いたします。

WeChat で開くにはこちらへ